Вернуться

Ролевая модель доступов для машиностроительного предприятия плюс проверка пентестом

Проблема

Инфраструктура клиента содержит десятки информационных систем, доступы к которым имеют тысячи сотрудников.
Безопасное управление пользовательским доступом в крупной организации можно обеспечить только за счет использования ролевой модели.

Особенность

Компания клиента специализируется на конфиденциальных проектах и выпускает уникальную машиностроительную продукцию, что обусловливает повышенные требования к информационной безопасности.

Запрос

Разработать ролевую модель в связи с потребностью в оптимизации бизнес-процессов
Провести проверочный пентест

ЧТО БЫЛО СДЕЛАНО БЕЛЫМИ ХАКЕРАМИ и ИБ АРХИТЕКТОРАМИ SIMPLITY

Проанализировали текущие должностные полномочия и соответствующие им права доступа сотрудников в информационные системы и сервисы.
Составили бизнес-ориентированное описание всевозможных прав доступа в каждом из сервисов: руководителю понятно, какие возможности предоставляет каждое полномочие и в каком режиме – может ли пользователь просматривать, вносить, менять или удалять данные.
Этап Role-Mining - автоматическое объединение полномочий в роли, на основе повторяющихся прав доступа у сотрудников одной должности или подразделения.
Скорректировали автоматические сформированные роли: после согласования у руководителей роли дополняются необходимыми правами, а лишние полномочия исключаются.
Провели сертификацию ролей – проверили роли на соответствие бизнес-процессам.
Создали матрицу - ролевую модель, которая содержит все утвержденные роли. При найме нового сотрудника ему назначается определенная роль с соответствующими полномочиями в сети.

Так упрощенно выглядит ролевая модель на схеме:

role model

Зачем Red Team Simplity провела проверочный пентест?

Проверить, нет ли чрезмерных прав у одной из сформированных ролей. Потому что компрометация учетной записи пользователя, т.е. обладателя роли, позволила бы провести успешную кибератаку.

Во время первоначальной разведки в домене команда пентеста обнаружила распространенную уязвимость на почтовом сервере.
В результате эксплуатации уязвимости белым хакерам Simplity удалось захватить пользовательский сегмент инфраструктуры. Однако в силу грамотной настройки политик безопасности получить наивысшие полномочия (права администратора) в домене Клиента не удалось.
Red Team дала рекомендации по устранению уязвимости устаревшего ПО, а также по доработке групповых политик.

Результат

Клиент существенно повысил уровень защищенности: за счет ролевой модели снизил риск несанкционированного доступа к данным и действий с ними
Клиент снизил риск утечки информации, кражи данных и денежных средств
Инфраструктура стала более гибкой и масштабируемой в зависимости от бизнес-процессов
Существенно упростилась система выдачи доступов к корпоративным сервисам во всей компании
Штатные ИТ существенно экономят время на выдаче новым сотрудникам необходимых доступов в инфраструктуре – теперь роль назначается одним кликом, ведь набор доступов уже содержится в роли

Сотрудничать
с Simplity